Full paper (pdf) - CDC

Praktische Einsetzbarkeit Die Sicherheit des One-Time-Pad-Verfahrens
beruht auf der Zufälligkeit des Schlüssels. Wenn er nicht wirklich zufällig erzeugt
wurde, sondern durch einen Algorithmus (einen Pseudo-Zufallszahlengenerator),
dann läßt sich die Shannon-Sicherheit nicht mehr beweisen. Darüber hinaus erfordert
die Übermittlung des Schlüssels an den Empfänger ein vorheriges Treffen
oder vertrauenswürdige Boten. Nicht zuletzt darf der Schlüssel nur ein einziges
Mal benutzt werden. Damit ist der Einsatz des eigentlich simplen Verfahrens mit
großem organisatorischen Aufwand verbunden (in der Tat wurde es vor allem
für wichtige diplomatische und militärische Mitteilungen in der ersten Hälte des
20. Jahrhunderts verwendet, für die der hohe Aufwand zu rechtfertigen war).
2.1.2 Die XOR-Methode
Wenn der Absender einer mit dem One-Time-Pad verschlüsselten Nachricht den
Schlüsseltext einem Boten übergibt, können wir uns dies als das Aufteilen der
Nachricht auf zwei Personen vorstellen, den Boten und den Empfänger: Der
Bote besitzt die verschlüsselte Nachricht und der Empfänger das zugehörige
One-Time-Pad. Solange die beiden nicht zusammenarbeiten (was üblicherweise
darin besteht, daß der Bote den Schlüsseltext an den Empfänger übergibt), kann
keiner von beiden (und auch kein Dritter) die Nachricht rekonstruieren und
verfügt nur über eine zufällige Bitfolge. Mit der in Abschnitt 2.2 eingeführten
Sprechweise haben wir es hier mit einem � � 2
2 -Secret-Sharing-Verfahren zu tun.
Das Verfahren läßt sich leicht auf beliebig viele Teilnehmer verallgemeinern:
Um eine geheime Information s = s [m−1] s [m−2] . . . s [1] s [0] mit m Bits auf t Teilnehmer
zu verteilen erhalten alle Teilnehmer bis auf den letzten jeweils einen
m-bit-langen Zufallsstring
si = s [m−1]
i
s [m−2]
i . . . s [1]
i s[0]
i
und der letzte Teilnehmer erhält die XOR-Summe
st = s [m−1]
t
s [m−2]
t . . . s [1]
t s[0] t
s [j]
i ∈R {0, 1} 1 ≤ i < t
s [j]
t = s[j] ⊕ s [j]
1 ⊕ . . . ⊕ s[j] t−1
aller anderen Anteile mit dem Geheimnis. Damit läßt sich (bei Vorliegen aller
Teilgeheimnisse si) jedes Bit s [j] von s als s [j] = �
i s[j]
i zurückgewinnen.
2.2 Redundantes Secret-Sharing
Wie wir gesehen haben, ermöglicht es die XOR-Methode, ein Geheimnis auf
mehrere Orte zu verteilen, wodurch es wesentlich besser dagegen geschützt ist,
aufgedeckt zu werden. Auf diese Weise wird das Sicherheitsproblem einer replizierten
Speicherung umgangen. Unglücklicherweise geht aber auch der Vorteil
einer Replikation verloren, nämlich die Robustheit gegen den Verlust einzelner
Anteile: Sobald auch nur einer der Anteile der XOR-Methode nicht mehr zur
Verfügung steht, kann das Geheimnis nicht mehr rekonstruiert werden. Diesem
Mangel treten redundante Secret-Sharing-Verfahren entgegen, bei denen bereits
eine Teilmenge der Anteile genügt, um das Geheimnis zurückzugewinnen.
9